CVE-2026-115910
Təsvir
Python Social Auth sosial autentifikasiya və qeydiyyat mexanizmidir. 6.2.0 versiyasından əvvəl social_core/backends/open_id_connect.py faylındakı OpenIdConnectAuth, OpenID Connect nonce-unu ortaq OpenIdConnectAssociation cədvəlinə yerləşdirmək üçün get_and_store_nonce funksiyasından istifadə edir; get_nonce və validate_claims funksiyaları isə nonce-u daxilolma prosesini başladan brauzer sessiyasına və OAuth vəziyyətinə bağlamaq əvəzinə, yalnız onun mövcud olduğunu və vaxtının bitmədiyini yoxlayır. Qurbanın istifadə olunmamış avtorizasiya kodunu əldə edən hücumçu, öz brauzeri üçün etibarlı vəziyyət almaq məqsədilə ayrıca daxilolma prosesi başlada bilər, qurbanın kodunu həmin vəziyyətlə təqdim edə bilər və qurbana aid nonce qlobal olaraq əlçatan olduğu üçün nonce yoxlamasından keçə bilər. Standart OpenIdConnectAuth konfiqurasiyasında DEFAULT_USE_PKCE deaktiv edildikdə, hücumçu qurban kimi sistemə daxil ola bilər. Bu problem 6.2.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- social-auth-core6.2.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| social-auth-corePyPI | v ≤ 6.1.1 | 6.2.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.